Node.js是否需要Session？能否基于IP用全局变量存储用户数据？

之前一直使用PHP的Session，现在切换到持续运行的Node.js服务器（与PHP的运行模式不同）。不确定在Node.js中是否真的需要用Session存储用户数据，想尝试通过基于IP的全局变量来存储用户数据，以下是我写的示例代码：

import Express from "express";
import sessions from "express-session";

class HttpServer {

    app; users = [];

    constructor() {
        this.init();
    }

    init() {

        this.app = new Express();

        /*
        this.app.use(sessions({
                secret: 'Secret word',
                resave: false,
                saveUninitialized: true,
                cookie: { secure: false , maxAge: 60 * 60 * 24 * 1000}
            }
        ))

         */

        this.app.use((req, res, next) => {
            this.checkUser(req, res);
            next();
        })

        this.app.listen(8080);

    }


    checkUser(req, res, next) {
        let user = this.getUserByIp(req.ip);
        if (!user) { // Add new user
            this.users.push({ip: req.ip, isLogged: false});
        }

    }

    getUserByIp(ip) {
        for (let i=0; i < this.users.length; i++) {
            if (this.users[i].ip === ip) {
                return this.users[i];
            }
        }

        return false;
    }

    authorizeUser(ip) {
        let user = this.getUserByIp(ip);
        if (user) {
            user.isLogged = true;
        }
    }

}

基于IP存储用户数据的致命问题 #

• IP复用导致身份混淆：多个用户可能共用同一个IP（比如公司内网、家庭路由器、代理服务器），这会让不同用户的会话数据被混在一起，比如A用户登录后，同IP的B用户会被错误识别为已登录状态。
• IP动态变动丢失数据：用户的IP可能随时变化（比如移动网络切换、ISP重新分配IP），一旦IP改变，之前存储的用户状态就会丢失，用户需要重新登录，甚至会被匹配到其他用户的数据。
• 全局变量的局限性：你代码中的users数组存在Node.js进程内存中，服务器重启后所有数据都会丢失；如果是多进程集群部署，不同进程的users数组是独立的，会出现数据不一致的情况。

为什么应该使用Session #

Session是专门为用户会话管理设计的方案，解决了上述所有问题：

• 用户唯一绑定：Session通过Cookie（或URL参数、Token）为每个用户分配唯一的会话标识，不受IP变化和复用的影响。
• 数据持久化与共享：express-session支持多种存储后端（内存、Redis、MongoDB等），生产环境可以用Redis等分布式存储，保证多进程/多服务器间的数据一致，且服务器重启后数据不会丢失。
• 安全性与灵活性：可以配置Session的过期时间、Cookie的安全属性（比如HTTPS下的secure），还能轻松扩展会话相关的功能。

改进后的示例代码 #

以下是使用express-session的正确实现：

import Express from "express";
import sessions from "express-session";
// 生产环境建议用redis等持久化存储，这里用内存存储仅作示例
import MemoryStore from 'memorystore';

const app = Express();
const sessionStore = MemoryStore(sessions);

// 配置Session中间件
app.use(sessions({
    secret: 'your-strong-secret-key', // 生产环境用环境变量存储
    resave: false,
    saveUninitialized: false, // 避免创建空会话
    store: new sessionStore({
        checkPeriod: 86400000 // 每天清理过期会话
    }),
    cookie: { 
        secure: process.env.NODE_ENV === 'production', // 生产环境开启HTTPS时设为true
        maxAge: 60 * 60 * 24 * 1000, // 会话有效期1天
        httpOnly: true // 防止前端JS读取Cookie，提升安全性
    }
}));

// 示例登录接口
app.post('/login', (req, res) => {
    // 验证用户账号密码逻辑...
    req.session.isLogged = true;
    req.session.userId = 'user-123'; // 存储用户ID等关键信息
    res.send('登录成功');
});

// 示例验证登录状态的中间件
app.use((req, res, next) => {
    if (req.session.isLogged) {
        console.log(`当前用户已登录，ID: ${req.session.userId}`);
    } else {
        console.log('用户未登录');
    }
    next();
});

app.listen(8080, () => {
    console.log('服务器运行在8080端口');
});

内容的提问来源于stack exchange，提问作者Anton M